View source for Cisco : Praktikum Uji ACL dan Diagnosa Paket yang Terbuang

'''ACL''' sudah kamu tulis di artikel pagi. Sekarang pertanyaannya berubah: apakah aturan itu benar-benar dibaca router, di pintu yang benar, pada arah yang benar? Halaman ini bukan lab menulis ACL, tapi lab '''membuktikan''' ACL bekerja, lalu sengaja merusaknya satu per satu untuk melihat gejala dan bukti yang ditinggalkan.

== 🎯 Tujuan ==
Setelah mengikuti lab ini, kamu bisa:
* membuktikan ACL menempel di interface dan arah yang benar lewat perintah, bukan dugaan;
* membedakan tiga kegagalan yang gejalanya sama: salah pintu, salah arah, dan aturan tertutup;
* membaca counter sebagai bukti lapis mana yang membuang paket;
* menjelaskan kenapa ACL di interface fisik tidak berlaku untuk subinterface;
* memulihkan diri saat ACL di jalur login mengunci akses SSH.

== 📍 Konteks nyata ==
Bayangkan sekolah memasang pos satpam untuk menyaring tamu di pintu laboratorium. Daftar tamunya sudah rapi, lengkap dengan nama yang dilarang.

Tapi satpam itu ternyata berdiri di pintu kantin, bukan di pintu lab. Semua orang melihat "sudah ada pos", daftar tamu "sudah dipasang", dan laporan pun ditulis "sudah aman". Kenyataannya tidak ada satu pun tamu yang diperiksa.

* 🔥 '''Kasus nyata:''' sebuah SMK ingin memblokir lab siswa agar tidak bisa membuka server nilai. Guru menempelkan ACL di <code>G0/0</code>, interface fisik router. Padahal kabel ke switch adalah trunk dan semua trafik lewat <code>G0/0.10</code> serta <code>G0/0.20</code>. Selama tiga hari siswa tetap bisa membuka server, dan tim menuduh ACL "tidak berfungsi di Packet Tracer". Penyebab sebenarnya ketahuan dalam 30 detik: <code>show ip interface g0/0.10</code> menjawab <code>Inbound access list is not set</code>.

== 🧠 Konsep singkat ==
=== 🔹 Lima lapis yang harus dibuktikan berurutan ===
Satu ACL yang "tidak bekerja" bisa gagal di lima tempat berbeda. Periksa dari bawah ke atas, dan berhenti di lapis pertama yang gagal.

{| class="wikitable"
! Lapis !! Pertanyaan !! Alat bukti
|-
| 1. Jalur || apakah interface dan subinterface benar-benar up? || <code>show ip interface brief</code>
|-
| 2. Penempatan || ACL menempel di interface dan arah yang kamu maksud? || <code>show ip interface g0/0.10</code>
|-
| 3. Isi aturan || baris yang kamu andalkan tidak tertutup baris di atasnya? || <code>show access-lists</code>
|-
| 4. Eksekusi || counter baris itu naik saat kamu menguji? || <code>clear ip access-list counters</code> lalu uji ulang
|-
| 5. Jalur balik || paket yang lolos masih punya jalan pulang? || ping dua arah, tabel routing
|}

* 💡 '''Tips:''' kalau kamu melompat langsung ke lapis 5, kamu akan menghabiskan sejam memeriksa routing untuk masalah yang sebenarnya ada di lapis 2.

=== 🔹 Tiga fakta yang menyelamatkan waktu diagnosis ===
* '''Counter hanya menghitung baris yang dieksekusi.''' Penolakan otomatis di akhir daftar (implicit deny) tidak punya angka. Karena itu Cisco menyarankan menulis <code>deny ip any any</code> eksplisit saat mendiagnosis: hanya penolakan eksplisit yang bisa kamu hitung.
* '''ACL kosong yang ditempel mengizinkan semua trafik.''' Interface dengan daftar kosong bersikap seperti tidak ada daftar. Jadi "sudah dipasang" belum berarti "sedang menyaring".
* '''Satu interface hanya punya satu ACL per protokol per arah.''' Memasang ACL kedua menimpa yang pertama tanpa peringatan, bukan menggabungkannya.

=== 🔹 Kenapa subinterface berbeda dari interface fisik ===
ACL menempel pada titik pemeriksaan, bukan pada kabel. Interface fisik <code>G0/0</code> dan subinterface <code>G0/0.10</code> adalah dua titik pemeriksaan yang berbeda.

Artinya sederhana: ACL di <code>G0/0</code> tidak diwarisi oleh <code>G0/0.10</code>. Kalau trafik masuk lewat subinterface, ACL di interface fisik tidak pernah membaca satu paket pun.

* 🧪 '''Uji cepat:''' <code>show ip interface g0/0</code> dan <code>show ip interface g0/0.10</code>. Bandingkan baris <code>Inbound access list</code>. Kalau yang berisi hanya interface fisik sementara trafik lewat subinterface, kamu sudah menemukan penyebabnya.

=== 🔹 Arah menentukan siapa yang diperiksa ===
ACL masuk (<code>in</code>) diperiksa sebelum router membaca tabel routing. ACL keluar (<code>out</code>) diperiksa setelah paket dirutekan, tepat sebelum dikirim.

Konsekuensi praktisnya: ACL <code>in</code> di interface siswa menyaring '''permintaan''' siswa. ACL <code>out</code> di interface yang sama menyaring '''balasan''' yang menuju siswa. Dua-duanya bisa membuat siswa "tidak bisa membuka server", tapi yang dibuang berbeda paket.

* ⚠️ '''Hati-hati:''' gejala di layar siswa tidak bisa membedakan kedua kasus itu. Yang bisa membedakan hanya lokasi counter yang naik dan baris <code>Inbound</code>/<code>Outbound access list</code> di <code>show ip interface</code>.

== 🧩 Istilah penting ==
{| class="wikitable"
! Istilah !! Arti singkat
|-
| Bukti berlapis || memeriksa dari link, penempatan, aturan, counter, lalu jalur balik
|-
| Shadowed rule || aturan yang tidak pernah dibaca karena didahului aturan yang cocok
|-
| Implicit deny || penolakan otomatis di akhir daftar, tanpa angka counter
|-
| Access group || perintah menempelkan ACL ke interface
|-
| Access class || perintah menempelkan ACL ke jalur login (vty)
|-
| Sequence number || nomor urut baris ACL bernama, jarak bawaan 10
|-
| Resequence || menata ulang nomor urut agar ada celah untuk menyisipkan aturan
|-
| Established || kata kunci yang cocok dengan balasan TCP ber-flag ACK atau RST
|-
| Fragment || pecahan paket; hanya pecahan pertama membawa info port
|-
| Lockout || terkunci di luar perangkat karena aturan login terlalu ketat
|-
| Baseline || catatan hasil uji sebelum perubahan, sebagai pembanding
|}

== 🔧 Praktik: Lab ACL dan Pembuktian Paket ==
Lab ini memakai alamat yang sama dengan artikel pagi, supaya kamu bisa melanjutkan. Bedanya, topologi dipindah ke trunk dengan dua subinterface. Alasannya bukan gaya-gayaan: justru di sinilah jebakan paling sering terjadi.

{| class="wikitable"
! Perangkat !! Interface !! Alamat !! Peran
|-
| R1 || G0/0.10 || 192.168.10.1/24 || gateway VLAN 10, juga DHCP server
|-
| R1 || G0/0.20 || 192.168.20.1/24 || gateway VLAN 20
|-
| SW1 || Fa0/1 || trunk || jalur ke router, allowed VLAN 10,20
|-
| PC-SISWA || Fa0/2 || 192.168.10.10/24 || siswa yang diuji
|-
| PC-GURU || Fa0/3 || 192.168.10.20/24 || pembanding, harus tetap bisa
|-
| Server-PT || Fa0/4 || 192.168.20.10/24 || layanan HTTP
|-
| PC-TAMU || Fa0/5 || DHCP || klien untuk uji DHCP
|}

=== 🔹 Langkah 1: bangun jalur, bukan langsung menyaring ===
# Buat VLAN dan port access di SW1, lalu jadikan Fa0/1 sebagai trunk.
<syntaxhighlight lang="text">
enable
configure terminal
vlan 10
 name SISWA
vlan 20
 name SERVER
exit
interface range fa0/2-3
 switchport mode access
 switchport access vlan 10
interface fa0/4
 switchport mode access
 switchport access vlan 20
interface fa0/5
 switchport mode access
 switchport access vlan 10
interface fa0/1
 switchport mode trunk
 switchport trunk allowed vlan 10,20
end
</syntaxhighlight>
# Di R1, nyalakan interface fisik dan buat dua subinterface. Interface fisik tidak diberi alamat IP.
<syntaxhighlight lang="text">
enable
configure terminal
interface g0/0
 no shutdown
interface g0/0.10
 encapsulation dot1Q 10
 ip address 192.168.10.1 255.255.255.0
interface g0/0.20
 encapsulation dot1Q 20
 ip address 192.168.20.1 255.255.255.0
end
</syntaxhighlight>
# Nyalakan DHCP kecil di R1 untuk VLAN 10, agar uji implicit deny nanti punya korban.
<syntaxhighlight lang="text">
configure terminal
ip dhcp excluded-address 192.168.10.1 192.168.10.99
ip dhcp pool VLAN10
 network 192.168.10.0 255.255.255.0
 default-router 192.168.10.1
 dns-server 192.168.20.10
end
</syntaxhighlight>
# Nyalakan layanan HTTP di Server-PT, lalu set PC-TAMU ke DHCP.

* 💡 '''Tips:''' jangan menulis satu aturan ACL pun sebelum langkah ini selesai dan terbukti. ACL yang ditumpuk di atas jalur yang belum jalan menghasilkan gejala campur aduk yang sulit dibaca.

=== 🔹 Langkah 2: rekam baseline lima baris ===
Jalankan berurutan dan catat hasilnya di buku lab. Baseline ini yang nanti kamu bandingkan.

<syntaxhighlight lang="text">
show ip interface brief
show ip interface g0/0.10
show ip dhcp binding
show access-lists
show running-config | section interface
</syntaxhighlight>

Dari PC-SISWA uji <code>ping 192.168.20.10</code> dan buka <code>http://192.168.20.10</code>. Lakukan hal yang sama dari PC-GURU. Semua harus berhasil, dan baris <code>Inbound access list</code> harus berbunyi <code>not set</code>.

* 📊 '''Angka penting:''' tanpa baseline, kamu tidak punya pembanding. "Tadi bisa" bukan bukti yang bisa ditunjukkan saat ujian praktik.

=== 🔹 Langkah 3: pasang satu ACL yang benar ===
Skenario: semua siswa boleh membuka web server, tapi PC-SISWA tidak boleh menyentuh layanan lain di ruang server. Pasang di subinterface siswa, arah masuk.

<syntaxhighlight lang="text">
configure terminal
ip access-list extended LAB-SISWA
 remark 2026-10-29 uji ACL lab
 10 permit tcp 192.168.10.0 0.0.0.255 host 192.168.20.10 eq 80
 20 deny ip host 192.168.10.10 192.168.20.0 0.0.0.255
 30 permit ip any any
 exit
interface g0/0.10
 ip access-group LAB-SISWA in
end
</syntaxhighlight>

Urutannya penting: baris 10 membuka web untuk semua siswa, baris 20 menutup sisa akses PC-SISWA ke ruang server, baris 30 menjaga trafik lain tetap jalan.

=== 🔹 Langkah 4: uji dengan satu aksi satu bukti ===
<syntaxhighlight lang="text">
clear ip access-list counters
</syntaxhighlight>
# Dari PC-SISWA: <code>ping 192.168.20.10</code> lalu buka web server.
# Dari PC-GURU: <code>ping 192.168.20.10</code>.
# Baca <code>show access-lists LAB-SISWA</code> dan cocokkan: baris 10 naik karena web, baris 20 naik karena ping siswa, baris 30 naik karena trafik guru.

Kalau ketiga angka itu sesuai, ACL-mu benar dan kamu punya bukti. Simpan tangkapan layarnya.

=== 🔹 Uji A: ACL di interface fisik, trafik lewat subinterface ===
Yang diubah: pindahkan ACL ke <code>G0/0</code> arah masuk, lalu hapus dari <code>G0/0.10</code>.

<syntaxhighlight lang="text">
configure terminal
interface g0/0.10
 no ip access-group LAB-SISWA in
interface g0/0
 ip access-group LAB-SISWA in
end
</syntaxhighlight>

* Gejala: siswa tetap bisa ping dan membuka apa pun ke ruang server. Tidak ada perubahan sama sekali.
* Bukti: <code>show ip interface g0/0.10</code> menampilkan <code>Inbound access list is not set</code>, sementara <code>show ip interface g0/0</code> menampilkan nama ACL-mu. Counter semua baris tetap 0.
* Arti: ACL sehat, hanya berdiri di pintu yang salah. Ini kegagalan lapis 2, bukan lapis 4.

=== 🔹 Uji B: arah terbalik, gejala mirip, mekanisme beda ===
Yang diubah: pasang ACL yang sama di <code>G0/0.10</code> tapi arah <code>out</code>.

<syntaxhighlight lang="text">
configure terminal
interface g0/0
 no ip access-group LAB-SISWA in
interface g0/0.10
 ip access-group LAB-SISWA out
end
</syntaxhighlight>

* Gejala: dari sisi siswa terlihat sama seperti "diblokir": ping gagal, web lambat lalu gagal.
* Bukti: baris 20 tetap naik, tapi yang dihitung adalah paket '''balasan''' menuju siswa. Permintaan siswa sendiri lolos ke server.
* Arti: kamu tidak memblokir siswa, kamu memblokir jawaban untuk siswa. Dua kebijakan yang sangat berbeda, gejala yang hampir identik.

* ⚠️ '''Hati-hati:''' jangan pernah menyimpulkan "ACL berhasil" hanya dari sisi pengguna. Baca arah yang terpasang dan lokasi counter yang naik.

=== 🔹 Uji C: aturan yang tidak pernah dibaca ===
Yang diubah: tambahkan <code>permit ip any any</code> di nomor 5, di atas aturan blokir.

<syntaxhighlight lang="text">
configure terminal
ip access-list extended LAB-SISWA
 5 permit ip any any
 exit
end
show access-lists LAB-SISWA
</syntaxhighlight>

* Gejala: siswa bebas kembali, seolah ACL hilang.
* Bukti: baris 5 naik terus, baris 10 dan 20 berhenti di angka lama.
* Arti: aturan di bawah baris serba-boleh tidak pernah dieksekusi. Ini shadowed rule, bukan bug.

Perbaikan yang rapi: hapus baris 5, lalu susun ulang nomor dengan <code>ip access-list resequence LAB-SISWA 10 10</code> agar ada celah untuk menyisipkan aturan baru.

=== 🔹 Uji D: wildcard ditulis sebagai subnet mask ===
Yang diubah: ganti baris 20 memakai <code>255.255.255.0</code>.

<syntaxhighlight lang="text">
configure terminal
ip access-list extended LAB-SISWA
 no 20
 20 deny ip 192.168.10.0 255.255.255.0 192.168.20.0 0.0.0.255
 exit
end
</syntaxhighlight>

* Gejala: perintah diterima tanpa peringatan, tapi PC-SISWA kembali bebas.
* Bukti: <code>show access-lists</code> menampilkan <code>wildcard bits 255.255.255.0</code>. Pola itu hanya cocok untuk alamat yang oktet terakhirnya 0, yaitu <code>192.168.10.0</code>, yang bukan alamat PC mana pun.
* Arti: wildcard 1 berarti bebas, 0 berarti wajib sama. Nilai yang benar adalah <code>0.0.0.255</code>, hasil <code>255.255.255.255</code> dikurangi mask.

=== 🔹 Uji E: implicit deny mematikan DHCP ===
Yang diubah: ganti isi ACL menjadi hanya web dan ping, tanpa aturan DHCP.

<syntaxhighlight lang="text">
configure terminal
ip access-list extended LAB-SISWA
 no 10
 no 20
 no 30
 10 permit tcp 192.168.10.0 0.0.0.255 host 192.168.20.10 eq 80
 20 permit icmp 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255
 30 deny ip any any
 exit
end
</syntaxhighlight>
# Di PC-TAMU jalankan <code>ipconfig /release</code> lalu <code>ipconfig /renew</code>.
# Amati: alamat tidak kembali, dan PC-TAMU berakhir dengan alamat 169.254.x.x.

* Bukti: <code>show ip dhcp binding</code> tidak bertambah untuk MAC PC-TAMU, dan counter baris 30 melonjak tepat saat renew.
* Arti: permintaan DHCP punya asal <code>0.0.0.0</code> dan tujuan siaran <code>255.255.255.255</code>, port 68 ke 67. Aturan "izinkan 192.168.10.0" tidak pernah cocok dengan asal 0.0.0.0.

Perbaikannya satu baris: <code>permit udp any eq 68 any eq 67</code> di atas baris penolak.

* 📊 '''Angka penting:''' <code>permit udp any eq bootpc any eq bootps</code> sama artinya dengan port 68 ke 67. Arah port mengikuti arah paket, bukan arah layanan.

=== 🔹 Uji F: balasan ikut dibuang di sisi server ===
Yang diubah: pasang ACL di interface server, hanya mengizinkan permintaan web masuk.

<syntaxhighlight lang="text">
configure terminal
ip access-list extended SERVER-IN
 10 permit tcp any host 192.168.20.10 eq 80
 20 deny ip any any
 exit
interface g0/0.20
 ip access-group SERVER-IN in
end
</syntaxhighlight>

* Gejala: browser berputar lama lalu gagal, padahal halaman web di server hidup dan tidak ada error di server.
* Bukti: baris 10 naik (permintaan masuk), baris 20 juga naik (balasan dibuang). Balasan berasal dari port 80 menuju port acak di PC, jadi tujuan portnya bukan 80 dan tidak cocok baris 10.
* Arti: ACL memeriksa header paket apa adanya. Balasan bukan permintaan, jadi aturan "tujuan port 80" tidak berlaku untuknya.

Dua perbaikan yang sah: tambahkan <code>permit tcp host 192.168.20.10 eq 80 any</code>, atau pakai <code>permit tcp any any established</code> untuk balasan TCP. Yang kedua lebih ringkas, tapi hanya untuk TCP.

=== 🔹 Uji G: ACL kedua menimpa, bukan menambah ===
Yang diubah: pasang ACL lain di arah yang sama.

<syntaxhighlight lang="text">
configure terminal
ip access-list extended UJI-TIMPA
 10 permit icmp any any
 exit
interface g0/0.10
 ip access-group UJI-TIMPA in
end
show ip interface g0/0.10
</syntaxhighlight>

* Gejala: aturan web dan blokir tadi lenyap, siswa sekarang hanya bisa ping.
* Bukti: <code>show ip interface g0/0.10</code> hanya menyebut <code>UJI-TIMPA</code>. <code>LAB-SISWA</code> masih ada di konfigurasi, tapi tidak menempel di mana pun.
* Arti: satu interface, satu ACL per protokol per arah. Menempelkan yang baru adalah mengganti, bukan menumpuk.

* 💡 '''Tips:''' biasakan menaruh semua aturan dalam satu ACL bernama per interface. Kalau butuh logika berbeda, pakai subinterface atau interface lain, bukan ACL kedua di titik yang sama.

=== 🔹 Uji H: mengunci diri sendiri lewat vty ===
Yang diubah: batasi SSH hanya dari subnet yang salah. Lakukan di lab, jangan di perangkat produksi.

<syntaxhighlight lang="text">
reload in 5
configure terminal
access-list 20 permit 192.168.30.0 0.0.0.255
access-list 20 deny any
line vty 0 4
 access-class 20 in
end
</syntaxhighlight>

* Gejala: sesi SSH yang sedang terbuka tetap hidup, tapi koneksi baru dari PC-SISWA langsung ditolak.
* Bukti: counter baris <code>deny any</code> naik setiap kali kamu mencoba login. <code>show running-config | section line vty</code> menunjukkan <code>access-class 20 in</code>.
* Arti: <code>access-class</code> mengatur siapa yang boleh masuk jalur login, berbeda dari <code>access-group</code> yang mengatur trafik lewat interface.

Penyelamat: perintah <code>reload in 5</code> di awal. Kalau kamu terkunci, router akan restart sendiri dan konfigurasi yang belum disimpan hilang. Kalau berhasil, batalkan dengan <code>reload cancel</code>.

* 🔥 '''Kasus nyata:''' sebuah kantor cabang memasang ACL vty hanya untuk subnet management lama. Setelah subnet diganti, tidak ada admin yang bisa SSH. Perangkat harus diambil alih lewat kabel console di ruang server, dan satu hari kerja hilang.

=== 🔹 Uji I: ping dari router bukan bukti ===
Yang diubah: tidak ada. Ini uji cara berpikir.

Dengan siswa masih diblokir, jalankan dari R1:

<syntaxhighlight lang="text">
ping 192.168.20.10
</syntaxhighlight>

* Gejala: ping dari router berhasil, padahal siswa tetap tidak bisa.
* Arti: paket yang dibuat router sendiri tidak melewati pemeriksaan ACL interface pada arah keluar di titik itu. Jadi keberhasilan ping dari router tidak membuktikan ACL gagal, dan kegagalannya juga tidak membuktikan ACL bekerja.

* ⚠️ '''Hati-hati:''' banyak laporan "ACL rusak" sebenarnya berawal dari ping router yang dijadikan patokan. Uji selalu dari host yang memang menjadi sasaran kebijakan.

=== 🔹 Uji J: log sebagai bukti tambahan ===
Yang diubah: tambahkan kata kunci <code>log</code> pada baris penolak, lalu ulangi satu ping dari PC-SISWA.

<syntaxhighlight lang="text">
configure terminal
ip access-list extended LAB-SISWA
 30 deny ip any any log
 exit
end
show logging
</syntaxhighlight>

* Bukti: di IOS asli, <code>show logging</code> menampilkan entri berisi nomor ACL, alamat asal, dan alamat tujuan.
* Catatan Packet Tracer: kata kunci <code>log</code> biasanya diterima, tapi isi log sering tidak muncul di jendela syslog. Jangan simpulkan aturan gagal hanya karena log kosong di simulator.

* ⚠️ '''Hati-hati:''' menyalakan <code>log</code> di semua baris membuat buffer penuh dan CPU naik. Nyalakan saat mendiagnosis, matikan setelah selesai.

=== 🔹 Langkah 5: bongkar lab dan simpan ===
<syntaxhighlight lang="text">
configure terminal
interface g0/0.10
 no ip access-group LAB-SISWA in
 no ip access-group UJI-TIMPA in
interface g0/0.20
 no ip access-group SERVER-IN in
line vty 0 4
 no access-class 20 in
exit
no ip access-list extended LAB-SISWA
no ip access-list extended UJI-TIMPA
no ip access-list extended SERVER-IN
no access-list 20
end
copy running-config startup-config
</syntaxhighlight>

== ✅ Verifikasi ==
{| class="wikitable"
! Perintah !! Yang dibuktikan
|-
| <code>show ip interface g0/0.10</code> || ACL mana yang menempel di subinterface, dan di arah mana
|-
| <code>show access-lists</code> || urutan baris, wildcard, dan jumlah match per baris
|-
| <code>show ip interface brief</code> || kondisi link, untuk memisahkan masalah ACL dari masalah kabel
|-
| <code>show ip dhcp binding</code> || apakah klien benar-benar mendapat alamat
|-
| <code>show logging</code> || jejak penolakan bila kata kunci log dipasang
|-
| <code>show running-config &#124; section access</code> || semua ACL dan access-group yang aktif
|}

Tiga pertanyaan yang harus kamu jawab berurutan:
# Apakah ACL menempel di interface yang benar dan arah yang benar? Lihat baris <code>Inbound</code> dan <code>Outbound access list</code>.
# Apakah baris yang kamu andalkan angkanya naik? Kalau tidak, masalahnya urutan atau wildcard.
# Apakah paket yang lolos punya jalur balik? Kalau ya, ACL sudah selesai; sisanya urusan routing.

* 🧪 '''Uji cepat:''' reset counter, lakukan tepat satu aksi, baca counter. Satu aksi satu bukti lebih mudah dibaca daripada sepuluh aksi sekaligus.

== ⚠️ Kesalahan umum & troubleshooting ==
{| class="wikitable"
! Gejala !! Penyebab !! Perbaikan
|-
| ACL tidak berefek sama sekali, counter 0 || ditempel di interface fisik, trafik lewat subinterface || pindahkan ke subinterface yang dilalui
|-
| Siswa tetap bisa, padahal deny terpasang || arah <code>out</code>, yang dibuang balasan || ganti ke arah <code>in</code> di interface siswa
|-
| Semua trafik mati setelah ACL dipasang || tidak ada permit, atau permit di bawah deny any || susun ulang, tambahkan permit yang perlu
|-
| Baris blokir angka 0 terus || tertutup <code>permit ip any any</code> di atasnya || sisipkan nomor lebih kecil, atau resequence
|-
| Seluruh subnet tidak terblokir || wildcard ditulis sebagai subnet mask || hitung <code>255.255.255.255</code> minus mask
|-
| Klien DHCP dapat 169.254 || implicit deny membuang port 68 ke 67 || izinkan UDP 68 ke 67
|-
| Web menggantung, server sehat || balasan dibuang ACL di sisi server || izinkan source port 80 atau <code>established</code>
|-
| Aturan lama hilang setelah pasang ACL baru || satu arah hanya satu ACL, yang baru menimpa || gabungkan dalam satu ACL bernama
|-
| SSH mati untuk semua admin || <code>access-class</code> mengizinkan subnet salah || pulihkan via console, pakai <code>reload in 5</code>
|-
| Ping dari router sukses, user tetap gagal || paket router tidak melewati ACL di titik itu || uji dari host sasaran
|-
| Counter naik tapi user tetap gagal || masalah ada di routing atau NAT, bukan ACL || periksa tabel routing dan terjemahan alamat
|-
| Log penolakan kosong di simulator || Packet Tracer tidak menampilkan syslog ACL || uji di IOS asli atau andalkan counter
|}

Beberapa catatan yang jarang dibahas:
* '''ACL kosong mengizinkan semua.''' Interface dengan daftar kosong bersikap seperti tanpa daftar, jadi "sudah dipasang" bukan bukti.
* '''Pecahan paket hanya membawa info port di bagian pertama.''' Aturan berbasis port tidak bisa menilai pecahan lanjutan.
* '''Penolakan otomatis tidak dihitung.''' Hanya baris <code>deny</code> eksplisit yang punya angka, itu sebabnya Cisco menyarankan menuliskannya saat diagnosis.
* '''Remark maksimal 100 karakter.''' Lebih dari itu terpotong, dan komentar panjang justru hilang di tengah kalimat.

== 🔐 Catatan keamanan & etika ==
* ACL menyaring header, bukan isi. Ia tidak mengenali aplikasi dan tidak menggantikan firewall stateful.
* Sebelum menyentuh jalur login, siapkan jalan pulang: kabel console, akun cadangan, atau <code>reload in 5</code>.
* Uji perubahan di luar jam ujian. Memblokir lab saat CBT berjalan bisa membatalkan ujian, bukan hanya mengganggu.
* Log ACL menyimpan alamat IP pengguna. Perlakukan sebagai data pribadi, jangan disebar di grup kelas.
* Memblokir situs untuk siswa adalah kebijakan sekolah. Catat dasar dan masa berlakunya, dan jangan menyaring perangkat pribadi tanpa izin.

* 💡 '''Tips:''' beri setiap ACL komentar berisi tanggal, pembuat, dan tujuannya. Enam bulan kemudian, komentar itu yang menjelaskan mengapa aturan aneh itu ada.

== 🏭 Dipakai di dunia kerja ==
* '''Sekolah:''' lab siswa hanya boleh membuka portal ujian, sementara server nilai tertutup untuk layanan lain. Bukti counter dipakai saat audit internal, karena "katanya sudah diblokir" tidak cukup.
* '''Kantor:''' printer dan file server dibatasi per divisi. Teknisi biasanya menemukan masalah dari satu keluhan "tidak bisa print", lalu membuktikan lewat counter baris mana yang menolak.
* '''Rumah sakit:''' jaringan alat medis dipisah dari jaringan tamu, dan ACL dipasang dekat server agar perubahan kebijakan cukup di satu titik.
* '''ISP dan warnet:''' ACL menolak alamat sumber palsu dari arah pelanggan. Kesalahan wildcard di sini bisa meloloskan spoofing tanpa terlihat.
* '''Data center:''' tiap penyewa dibatasi ke subnetnya sendiri. Satu ACL yang salah tempat bisa membuat dua penyewa saling melihat.
* '''Industri:''' jaringan mesin produksi dikunci dari ruang kontrol. Perubahan ACL di sini biasanya butuh jendela maintenance, karena salah arah bisa menghentikan lini produksi.

== 📌 Kesimpulan ==
ACL yang benar bukan yang tulisannya rapi, tapi yang bisa kamu buktikan: menempel di interface yang dilalui, di arah yang tepat, dengan baris yang benar-benar dieksekusi, dan counter yang naik saat diuji.

Kalau kamu hanya membawa satu kebiasaan dari lab ini, bawa ini: '''reset counter, lakukan satu aksi, baca angka'''. Dari situ kamu tahu lapis mana yang gagal, tanpa menebak.

Langkah berikutnya: buka halaman NAT dan PAT di Cisco. Di sana kamu akan melihat ACL dan penerjemahan alamat diperiksa berurutan, dan kesalahan urutan menghasilkan gejala yang mirip dengan lab ini.

== 🔗 Materi terkait ==
* [[Cisco : ACL Dasar (Standar dan Extended)]] — pasangan artikel pagi ini: aturan, wildcard, dan penempatan.
* [[Cisco : Dasar CLI Cisco IOS (Mode dan Konfigurasi Awal)]] — prasyarat: mode, penyimpanan, dan verifikasi dasar.
* [[Cisco : Konfigurasi VLAN di Switch Cisco]] — dasar VLAN yang dipakai topologi lab ini.
* [[Cisco : Trunk dan Inter-VLAN Routing (Router-on-a-Stick)]] — asal-usul subinterface yang jadi inti Uji A.
* [[Cisco : DHCP Server di Cisco IOS]] — konteks Uji E tentang implicit deny dan port 67/68.
* [[Cisco : Praktikum Uji Alokasi DHCP dan Diagnosa Klien Tanpa Alamat]] — cara membaca kegagalan alamat dari sisi klien.
* [[Mikrotik : Firewall Filter Dasar]] — padanan konsep di RouterOS, enak dibandingkan setelah paham ACL.

== 📚 Referensi ==
* Cisco, ''Configure IP Access Lists'' (Document ID 23602), https://www.cisco.com/c/en/us/support/docs/security/ios-firewall/23602-confaccesslists.html
* Cisco, ''Security Configuration Guide: Access Control Lists, Cisco IOS Release 15M&T — Creating an IP Access List and Applying It to an Interface'', https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/sec_data_acl/configuration/15-mt/sec-data-acl-15-mt-book/sec-create-ip-apply.html
* Cisco, ''IP Access List Overview'', Cisco IOS Security Configuration Guide.
* RFC 2131, ''Dynamic Host Configuration Protocol''.
* RFC 792, ''Internet Control Message Protocol''.

[[Category:TKJ]]
[[Category:Jaringan]]
[[Category:Cisco]]
[[Category:Packet Tracer]]